조직의 특성에 적합한 정보보호 투자 의사결정을 위한 투자 최적화 모델의 비교
Comparison of Investment Optimization Models for Information Security Decision-Making Suitable to Organizational Characteristics
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
정보보호 환경이 복잡해짐에 따라, 제한된 자원을 효율적으로 배분하는 문제는 조직의 보안 전략 수립에서 핵심적인 과제가 되고 있다. 본 연구는 정보보호 대책들의 효과를 고려하여 최적의 투자 규모와 투자 대안을 결정하는 주요 모델을 Fielder et al.(2016)에서 사용한 데이터를 활용하여 비교·분석하는 것을 목표로 한다. 취약점이 초래할 예상 피해, 공격 확률, 심각도, 공격 비용 등의 요소를 고려한 연구들을 분석하여, 서로 다른 접근법이 보안 투자 의사결정에 미치는 영향을 실증적으로 평가하였다. 또한, 보안 통제 옵션들의 비용 대비 효과성을 정량적으로 비교하고, 최적 투자 규모를 산출하는 데 사용된 주요 모델들의 성과를 비교·검증하였다. 본 연구를 통해 모델 간 효과성과 효율성에 차이가 존재함을 확인하였으며, 조직의 목표와 데이터 환경에 따라 적절한 투자 전략이 달라질 수 있음을 시사하였다. 정보보호 의사결정자들이 조직의 여건에 적합한 정보보호 투자 의사결정 모형을 선택할 수 있고, 보다 합리적인 투자 전략을 수립하는게 기여할 수 있을 것이다.
Abstract
As the information security environment becomes increasingly complex, the issue of efficiently distributing limited resources has become a key task in establishing an organization's security strategy. This study aims to compare and analyze major models for determining the optimal investment level and alternative options in information security, taking into account the effectiveness of security controls, using the dataset employed by Fielder et al. (2016). We analyzed studies that considered factors such as expected damage from vulnerabilities, attack probability, severity, and attack cost, and empirically evaluated the impact of different approaches on security investment decisions. In addition, the cost-effectiveness of security control options was quantitatively compared, and the performance of major models used to calculate the optimal investment size was compared and verified. This study confirmed that there are differences in effectiveness and efficiency among the models, suggesting that appropriate investment strategies may vary depending on an organization’s objectives and data environment. It is expected to help information security decision-makers select the most suitable investment decision model for their organizational context and establish more rational investment strategies.